ネットワークで課題となっているのは、ますます大規模化する分散型サービス妨害（DDoS）攻撃の対策です。2014年には、400GbpsクラスのDDoS攻撃が観測されるようになっています。

　さらに近年では、サーバへのリクエストに対して大きなサイズのデータを返すDNSサーバやNTPサーバの特性を悪用した「増幅攻撃」の危険性が指摘されています。送信元IPアドレスを詐称してリクエストを送り、第三者のサーバへ大量のデータを送付させることで、帯域を占有したり、システムの停止に追い込む攻撃です。

　こうした攻撃に対処するには、CPUなどのリソースを圧迫しないで不正なパケットを遮断（ドロップ）し、かつ正常なトラフィックを可能な限り小さい遅延で処理するネットワークセキュリティ製品が求められます。

　同時接続数や経路保持数などにもある程度のスケールが必要です。また、セッション情報のログを保存したり、ネットワーク管理プロトコルであるSNMPの異常通知の仕組みであるTRAPを使い、ログをログサーバへ送信できることが要求されるケースもあります。

サーバ攻撃対策：“見えない攻撃”への効率的な対処が重要に

　トラフィックの増大がそのまま新たな脅威となるネットワークと比べて、サーバへの攻撃はトラフィック増大による影響はそれほど受けません。むしろ問題となるのが、トラフィックの少なさです。

　攻撃で発生させるトラフィックを抑え、正当な通信と変わらない程度にしているサーバ攻撃が増えています。トラフィックの変化で攻撃を検知しやすいネットワーク攻撃とは異なり、一見して攻撃だと分からないことが、こうしたサーバ攻撃の対策を難しくしています。

　少ない通信量でコネクションを長期間張り続けてサーバのリソースを枯渇させ、最終的にはサーバを応答不能に追い込む「スローアタック」は、攻撃だと見分けにくいサーバ攻撃の1つです。ショッピングサイトで購入直前の画面から遷移せず、他ユーザーからの購入を妨害するサービス妨害（DoS）攻撃も検知が困難です。

　こうした攻撃をいかにして止めるか。重要になるのは、アプリケーション層（レイヤー7）のセキュリティ対策です。

　攻撃を検知するためには、HTTPのメッセージヘッダやメッセージボディの中身を見たり、一度コネクションを張った通信の振る舞いや複数のコネクションにある相関関係を調べるなどの処理が必要です。こうした処理はCPUに大きな負荷が掛かるので、トラフィックを識別して処理対象を絞り込むなど、効率よくトラフィックを検査する機能がネットワークセキュリティ製品に求められます。

　アプリケーションレベルの高度なセキュリティを実現しようとすればするほど、その運用は難しくなります。侵入防御システム（IPS）やWebアプリケーションファイアウォール（WAF）などアプリケーションレベルでの監視ができるネットワークセキュリティ製品は、ポリシーの設定によっては正規ユーザーの通信を誤って止めてしまう恐れがあります。そのため、検知した攻撃を止めるポリシーを有効にせず、ロギング機能のみを利用する企業も多いようです。

　最近のネットワークセキュリティ製品はこうした状況を踏まえ、機能に工夫を凝らしています。通信を止めるだけでなく、疑いのあるユーザーに警告プロンプトを表示する機能が、その一例です。また通信を遅くさせたり、パケットのデータ部分を検査してフィルタリングなどの処理をする「ディープパケットインスペクション（DPI）」と連係できるようにしたりするなど、さまざまなアクションが取れるようになっています。

　ここまで、ネットワークとサーバに分けて、トラフィックの大規模化を受けて注視すべきセキュリティ対策のポイントを述べてきました。セキュリティ製品も、トラフィック増を受けて機能強化が進みつつあります。例えば、ファイアウォールなどのネットワークセキュリティ製品でも2014年以降、40Gbps／100Gbpsインタフェースの採用が加速すると考えられます。

　トラフィック規模にかかわらず、今後さらなる高度化が予想される攻撃に対処するには、各種セキュリティ製品から得た情報である「セキュリティインテリジェンス」の活用が重要です。さまざまなセキュリティインテリジェンスを組み合わせて分析することで、より効果的なセキュリティ対策が可能になります。

　例えば、サーバセキュリティ製品で検知した悪意のあるユーザーの情報を、データセンターの入り口に置くファイアウォールと共有し、悪意のあるユーザーの侵入を食い止めるのに生かすことができます。また大量のDDoS攻撃をしてきたユーザーの通信をサーバまで到達させないなど、より効率的な攻撃の検知と防御を可能にします。

　セキュリティ製品同士が、検知した脅威情報を共通のフォーマットで共有して相互に活用できれば、データセンター内もしくはデータセンター同士でセキュリティ情報を共有できるようになり、さらに強固なセキュリティ対策が実現できると考えられます。